Blog Cloud-Souveränität in Europa: NIS2, DORA und das EU-KI-Gesetz

Warum der Standort keine Compliance mehr garantiert

Die Wahl eines Rechenzentrums innerhalb der richtigen Landesgrenzen reichte früher aus, um einen Workload als "compliant" zu bezeichnen. Diese Annahme gilt im Stillen nicht mehr. Ein Server, der in Frankfurt oder Amsterdam steht, sagt nichts darüber aus, wer rechtlich gezwungen werden kann, die darauf befindlichen Daten herauszugeben – und genau diese Lücke haben die Aufsichtsbehörden in den letzten drei Jahren geschlossen.

Drei Rahmenwerke laufen nun auf dieselbe Frage hinaus: nicht nur, wo die Daten liegen, sondern wer darauf zugreifen kann, und ob Sie das in einem Audit beweisen können. NIS2 deckt mehr als 160.000 Einrichtungen in 18 Sektoren ab, und die EU-Datenschutzbehörden haben seit Mai 2018 DSGVO-Strafen in Höhe von über 5,9 Milliarden Euro verhängt, so das Tracking der DSGVO-Durchsetzungsdaten durch Vision Compliance. DORA gilt für EU-Finanzunternehmen und deren kritische IKT-Lieferanten. Das KI-Gesetz der EU fügt dem noch Infrastrukturverpflichtungen für hochriskante KI-Systeme hinzu.

Das kommerzielle Argument entwickelt sich genauso schnell. Insights Umfrage zum digitalen Souveränitäts-Trilemma, die von Coleman Parkes zwischen Dezember 2025 und Januar 2026 unter 900 leitenden Entscheidungsträgern in Organisationen mit über 500 Mitarbeitern in neun europäischen Ländern durchgeführt wurde, ergab, dass 67 % der Organisationen digitale Souveränität bereits als kritische strategische Überlegung behandeln. Dieser Wert soll innerhalb von ein bis zwei Jahren auf 78 % und innerhalb von drei Jahren auf 82 % steigen. Fünfundfünfzig Prozent nannten die regulatorische Komplexität als eine ihrer größten strategischen Herausforderungen, und 43 % hatten bereits starke Souveränitätsnachweise genutzt, um Aufträge zu gewinnen oder zu halten. Da es sich hierbei um von Anbietern in Auftrag gegebene Umfrageergebnisse und nicht um offizielle Statistiken handelt, sollten diese eher als richtungsweisende Branchenstimmung und nicht als unumstößlicher Fakt betrachtet werden.

Im Folgenden wird die regulatorische Landschaft, wie sie sich im Jahr 2026 darstellt, abgebildet. Es wird aufgezeigt, was jedes Rahmenwerk tatsächlich von Ihrer Cloud-Architektur verlangt und wie Organisationen, die auf Azure, AWS oder Google Cloud aufbauen, eine souveränitätsfähige Position erreichen können, ohne einen Compliance-Aufschlag in Kauf nehmen zu müssen, den sie intern nicht rechtfertigen können.

Der europäische Regulierungsrahmen und warum er sich wie ein einziges System verhält

DSGVO, NIS2, DORA und das KI-Gesetz kamen nicht als vier unzusammenhängende Checklisten daher, auch wenn die meisten Compliance-Teams sie immer noch so verwalten. Bis 2026 drängen sie auf dieselben drei Ergebnisse: genau zu wissen, wo Daten leben, zu kontrollieren, wer sie berühren kann, und mit Beweisen statt mit Zusicherungen belegen zu können, dass Sie den Betrieb auch bei einem Fehler oder einem Audit aufrechterhalten können.

Die Überschneidungen sind am größten für Organisationen in den Bereichen Finanzen, Gesundheitswesen, Energie und im öffentlichen Sektor, wo eine einzige Kontrolllücke Verpflichtungen unter zwei oder drei Systemen gleichzeitig auslösen kann.

NIS2: Cybersicherheitsverpflichtungen in 18 Sektoren, verbunden mit persönlicher Haftung

NIS2, die überarbeitete Richtlinie über Netz- und Informationssicherheit, die 2023 von der EU eingeführt wurde, ersetzt einen enger gefassten Vorgänger durch verbindliche Verpflichtungen, die mehr als 160.000 Einrichtungen abdecken. Sie führt Risikomanagement-Anforderungen, Rechenschaftspflichten auf Vorstandsebene, Fristen für die Meldung von Vorfällen und Mandate für die Sicherheit der Lieferkette ein, mit persönlicher Haftung für das Top-Management, wenn die Nichteinhaltung festgestellt wird.

Die Richtlinie teilt die verpflichteten Organisationen in zwei Stufen ein:

• Wesentliche Einrichtungen: Große Betreiber in den Bereichen Energie, Verkehr, Bankwesen, Gesundheitswesen und digitale Infrastruktur, die einer proaktiven Aufsicht und der strengsten Durchsetzung unterliegen.
• Wichtige Einrichtungen: Mittelständische Organisationen in denselben Sektoren, die denselben technischen Anforderungen, aber einer reaktiven statt proaktiven Aufsicht unterliegen.

Vier Dinge, die NIS2 von einem Vorstand erwartet, nachweisen zu können:

1. Risikoverantwortung. Der Vorstand genehmigt Cybersicherheitsmaßnahmen und überwacht deren Umsetzung; ein Versäumnis kann zu persönlicher Haftung führen.
2. Sicherheitsanforderungen. Artikel 21 der NIS2-Richtlinie legt grundlegende Maßnahmen fest, einschließlich der Behandlung von Vorfällen, Geschäftskontinuität und Krisenmanagement.
3. Sicherheit der Lieferkette. Die Cybersicherheitspraktiken von Anbietern und Dienstleistern müssen bewertet werden, nicht nur Ihre eigenen.
4. Meldung von Vorfällen. Wesentliche Einrichtungen müssen ihr nationales CSIRT innerhalb von 24 Stunden nach einem erheblichen Vorfall benachrichtigen, wobei ein ausführlicherer Bericht innerhalb von 72 Stunden fällig ist.

In der Praxis drängt NIS2 auf Identitätsstrenge, manipulationssichere Protokollierung, Lieferanten-Governance und zeitgebundene Vorfallsmeldungen direkt auf die Plattformebene. Das entscheidende Wort ist nachweisbar: Ein Prüfer muss in der Lage sein, Ihre Kontrollen durch Telemetrie und Änderungsprotokolle nachzuvollziehen, und sich nicht nur auf Ihr Wort verlassen.

Die Strafen sind real und gestaffelt: Wesentlichen Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, während wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Umsatzes drohen. Diese Zahlen gelten pro Mitgliedstaat, sodass eine Organisation mit Tochtergesellschaften in mehreren EU-Ländern in jedem einzelnen Land einem separaten Risiko ausgesetzt ist.

DORA: Operationelle Resilienz als etwas, das man beweisen und nicht nur planen muss

Der Digital Operational Resilience Act (DORA) schreibt Standards für die operationelle Resilienz für EU-Finanzunternehmen und deren IKT-Anbieter vor und wurde im Januar 2025 durchsetzbar. Er erfordert dokumentierte und getestete Ausstiegsstrategien von kritischen Anbietern, vertragliche Prüfungsrechte, Kontrollen des IKT-Konzentrationsrisikos und eine laufende Überwachung von Dritten.

Der Geltungsbereich wird durch die Tätigkeit bestimmt, nicht durch die Mitarbeiterzahl. Ein 50-köpfiges FinTech-Unternehmen, das Zahlungen abwickelt, unterliegt denselben Verpflichtungen wie eine Großbank.

DORA standardisiert das IKT-Risikomanagement in der gesamten Branche: getestetes Failover, gemessene Recovery Time und Recovery Point Objectives, bedrohungsgesteuerte Tests, wo zutreffend, und ein Register von IKT-Vereinbarungen mit Dritten, das tatsächlich dem entspricht, was in der Produktion läuft. Resilienz ist faktisch zu einer Produktanforderung geworden und nicht mehr nur ein Posten in einem Disaster-Recovery-Plan.

Die architektonische Implikation ist der schärfste Teil. Die obligatorische Ausstiegsstrategie nach Artikel 28 verlangt von Finanzunternehmen, einen dokumentierten, getesteten und überprüfbaren Plan zu unterhalten, um sich von einem kritischen IKT-Anbieter zu trennen, ohne den Service zu unterbrechen. Wenn Ihre Plattform eng an die proprietären APIs eines Anbieters gebunden ist, kann dieser "Ausstiegsplan" in der Praxis eine mehrjährige Migration sein: kein Notfallplan, sondern ein Lock-in mit Compliance-Ausweis.

Was europäische Finanzorganisationen jetzt tun sollten:

1. Jeden bestehenden Cloud-Vertrag auf die Anforderungen an die Ausstiegsstrategie gemäß Artikel 28 prüfen.
2. Workloads nach Kritikalität klassifizieren und markieren, welche von Managed Services eines einzigen Anbieters abhängen.
3. Mit der Dokumentation der Ausstiegsstrategie-Architektur auf Unternehmensebene beginnen, bevor eine Krise die Entscheidung erzwingt.
4. Sicherstellen, dass das IKT-Drittanbieter-Risikoregister jeden Cloud-Anbieter abdeckt, mit laufender Überwachung anstelle einer punktuellen Überprüfung.

Das KI-Gesetz der EU: Eine Infrastrukturverpflichtung, die sich in einer KI-Verordnung versteckt

Das KI-Gesetz der EU (Verordnung 2024/1689) ist die erste umfassende KI-spezifische Verordnung ihrer Art, die KI-Systeme nach Risiko klassifiziert und hochriskanten Systemen Anforderungen an Data Governance, Überprüfbarkeit und Infrastruktur auferlegt. Sie findet ab dem 2. August 2026 volle Anwendung, und die Strafen können bis zu 7 % des weltweiten Jahresumsatzes erreichen.

Viele SaaS-Produkte erkennen nicht, dass sie in den Geltungsbereich fallen: Tools zur Bonitätsprüfung im FinTech-Bereich, Lebenslauf-Screening im HR-Tech-Bereich und medizinprodukteähnliche Funktionen im HealthTech-Bereich können alle unter die Hochrisikokategorien von Anhang III fallen. Das Infrastrukturproblem ist direkt: SaaS-Plattformen, die auf gemeinsam genutzten, von Hyperscalern verwalteten KI-Diensten laufen, können oft nicht die vom Gesetz geforderte Herkunft auf Infrastrukturebene nachweisen. Selbst gehostete oder souveräne Umgebungen ermöglichen eine vollständige Dokumentation der Datenherkunft auf eine Weise, wie es gemeinsam genutzte Multi-Tenant-Dienste typischerweise nicht können.

Für Infrastrukturteams bedeutet dies getrennte Trainings- und Inferenzumgebungen, Datensatzdokumentation, Evaluierungsartefakte und Rollback-Pfade – all dies ist wesentlich einfacher bereitzustellen, wenn Ihr Datenperimeter und Ihre Schlüsselverwaltung innerhalb einer einzigen, einfachen Gerichtsbarkeit liegen.

Datenresidenz vs. Datensouveränität: Die Unterscheidung, die über Ihre Compliance-Haltung entscheidet

Das derzeit teuerste Missverständnis bei der europäischen Cloud-Compliance besteht darin, Residenz und Souveränität als dasselbe zu behandeln. Das sind sie nicht, und in der Lücke dazwischen liegt tatsächlich das größte regulatorische Risiko.

Ein US-Hyperscaler, der Server auf EU-Boden betreibt, bietet Ihnen Residenz. Er bietet Ihnen keine Souveränität: Das US-Recht kann die Offenlegung erzwingen, unabhängig davon, wo sich die Hardware physisch befindet. Laut SoftwareSenis Analyse des Cloud Sovereignty Framework der Europäischen Kommission vom Oktober 2025 kontrollieren US-Hyperscaler mehr als 70 % des EU-Cloud-Marktes und unterliegen weiterhin extraterritorialen US-Gesetzen, nämlich dem CLOUD Act und FISA, die den Datenzugriff unabhängig vom Serverstandort erzwingen können. Die meisten regulierten Workloads benötigen heute Souveränität, nicht nur Residenz, um ihre Verpflichtungen zu erfüllen.

Das „Kill-Switch“-Szenario: Warum der Standort allein Sie nicht schützt

Insights Untersuchung zum digitalen Souveränitäts-Trilemma bringt es auf den Punkt: 67 % sagen, dass die Aufrechterhaltung der digitalen Souveränität heute eine kritische Überlegung bei strategischen Geschäftsentscheidungen ist, was in ein bis zwei Jahren auf 78 % und in drei oder mehr Jahren auf 82 % steigen wird. Der öffentliche Sektor führt diesen Wandel an: 73 % betrachten die digitale Souveränität als entscheidend für ihre strategischen Entscheidungen, was einen verstärkten Fokus auf nationale Sicherheit und rechtliche Sicherheit widerspiegelt.

Operationelle Resilienz beruht in der Praxis heute auf digitaler Souveränität: der Fähigkeit, die technische Kontrolle über Ihre Systeme und Verschlüsselungsschlüssel unabhängig von äußeren Eingriffen zu behalten. Insights eigene Formulierung dazu ist direkt: Stellen Sie sich vor, eine ausländische Gerichtsbarkeit übt Autorität über Ihren Cloud-Anbieter aus und betätigt faktisch einen Kill-Switch für Ihre Unternehmenssysteme. Das ist kein IT-Szenario; es ist eine Bedrohung für die Geschäftskontinuität, für die es keinen einfachen Workaround gibt, wenn sie erst einmal eintritt. Dieselbe Untersuchung ergab, dass 32 % der Organisationen bei der Bewertung ihrer Cloud-Strategie nun die Resilienz und Kontinuität der Lieferkette priorisieren, noch vor Kostenkontrolle (20 %) und Markteinführungszeit (16 %).

Selbst dort, wo rechtliche Transfermechanismen auf dem Papier existieren, ziehen es die meisten Vorstände heute vor, ihr Risiko direkt einzugrenzen: sensible Workloads und Telemetriedaten innerhalb des EWR zu belassen und Schlüssel unter EU-Gerichtsbarkeit zu halten. Es ist eine Haltung, die das Risiko reduziert, Audits vereinfacht und die Rechenschaftspflicht im Nachhinein viel leichter erklärbar macht.

Die Kosten mangelnder Compliance

Die finanziellen Konsequenzen sind hier nicht mehr theoretisch. Laut dem Tracking der Durchsetzungsdaten durch Vision Compliance haben die EU-Datenschutzbehörden seit Inkrafttreten der Verordnung im Mai 2018 rund 5,9 Milliarden Euro an DSGVO-Strafen verhängt (wobei allein die Top 10 der Strafen über 4,5 Milliarden Euro ausmachen), und der IBM-Bericht zu den Kosten einer Datenschutzverletzung 2025 beziffert die durchschnittlichen Kosten einer Verletzung in der EU auf 4,57 Millionen Euro. Wichtig zu erwähnen: Die globalen Zahlen von IBM für denselben Bericht werden andernorts in USD angegeben (ein weltweiter Durchschnitt von 4,44 Millionen US-Dollar und 4,18 Millionen US-Dollar speziell für Public-Cloud-Verletzungen). Stellen Sie also sicher, dass Sie den EU-spezifischen Euro-Betrag vergleichen und ihn nicht mit dem globalen Dollar-Betrag vermischen. Acht Jahre nach Beginn der Durchsetzung berichtet nur etwa ein Drittel der Organisationen (34 %, laut der Cisco Data Privacy Benchmark Study 2025) über eine vollständige DSGVO-Compliance.

Die Verschwendungsseite der Bilanz ist besser dokumentiert. Insights Untersuchung zum digitalen Souveränitäts-Trilemma beziffert die Verschwendung europäischer Cloud-Kapazitäten auf 24 % jährlich, was hauptsächlich auf inaktive oder verwaiste Ressourcen, mangelnde Transparenz über Umgebungen hinweg und schwache Governance zurückzuführen ist. KI hat in nur einem Jahr zu einem Anstieg der Hosting-Kosten um 12 % geführt, und 56 % der Organisationen führen laut derselben Umfrage keine Bewertung der Gesamtbetriebskosten (Total Cost of Ownership) durch, bevor sie wichtige Entscheidungen zur Platzierung von Workloads treffen.

Aufbau einer einheitlichen souveränen Architektur anstelle von vier parallelen Compliance-Streams

Der häufigste Fehler ist keine fehlende Kontrolle: Es ist die Handhabung von DSGVO, NIS2, DORA und dem KI-Gesetz als separate Checklisten, die nie wirklich zusammenlaufen, obwohl sie sich in Kontrollen, Berichtsketten und den Risikomodellen überschneiden, die die Aufsichtsbehörden sehen wollen. Wenn man die gemeinsame Absicht abbildet – nämlich die Begrenzung systemischer Risiken, die Durchsetzung überprüfbarer Kontrollen und den Schutz der Daten europäischer Bürger –, werden die meisten Architekturentscheidungen ziemlich offensichtlich.

Fünf Prinzipien definieren das Muster, das ein europäisches regulatorisches Audit in der Regel übersteht:

1. Ausschließlich EU-Multi-Region mit verifizierbarem Failover. Nutzen Sie mindestens zwei unabhängige EU-Standorte. Bewahren Sie Produktion, Snapshots und DR-Kopien (Disaster Recovery) innerhalb des EWR auf. Führen Sie kontrollierte Failovers nach einem Zeitplan durch und bewahren Sie die Nachweise mit der gleichen Sorgfalt auf wie Finanzunterlagen.
2. Deterministisches Schlüsselmanagement. Führen Sie ein in der EU ansässiges KMS (Key Management System) mit expliziter Eigentümerschaft ein. Verwenden Sie für wesentliche Workloads Bring-Your-Own-Key oder Hold-Your-Own-Key, gestützt auf Hardware-Roots-of-Trust und geteilte Verwahrung.
3. Governance für den Netzwerkausgang (Egress). Schließen Sie den standardmäßigen Ausgang. Zählen Sie erlaubte Ziele per Richtlinie auf und dokumentieren Sie den Grund für die Existenz jedes einzelnen.
4. Beweiszentrierter Betrieb. Zentralisieren Sie Protokolle, Konfigurationshistorien und Pfade für privilegierten Zugriff in unveränderlichen, lebenszyklusverwalteten Speichern. Die Plattform sollte in der Lage sein, zu beantworten, wer, was, wann und wo getan hat, ohne mitten in einem Vorfall Ad-hoc-Skripte schreiben zu müssen.
5. Exit und Portabilität by Design. Modellieren Sie Ihre Ausstiegsstrategie zu Beginn, nicht erst nach Vertragsunterzeichnung. Verwenden Sie Standard-VM-Images und offene Datenformate. Bewahren Sie Playbooks für Wiederherstellung und Migration in der Versionskontrolle auf und proben Sie diese auch tatsächlich: Sie sind nur so portabel, wie Sie es beim letzten Mal bewiesen haben.

Compliance als Wettbewerbsvorteil nutzen

Souveränität muss nicht mit einem permanenten Preisaufschlag einhergehen. Die Organisationen, die bei der Compliance in ganz Europa die Nase vorn haben, sind im Allgemeinen diejenigen, die sie vom ersten Tag an als Designprinzip behandeln und nicht als etwas, das nachträglich angeflanscht wird, wenn eine Aufsichtsbehörde Fragen stellt.

Der Ansatz von Insight entwirft souveräne Compliance-Frameworks, die den Betrieb rund um die Uhr aufrechterhalten, ohne von Lizenzänderungen der Anbieter oder regionalen Datenschutzgesetzen als Geisel gehalten zu werden. Durch FinOps und Hybrid Cloud Assessments verlagert Insight hochintensive Workloads in die Umgebung zurück, die wirklich am kostengünstigsten ist. Insight zitiert Kunden, die typischerweise etwa 12 % ihres Hosting-Budgets zurückgewinnen, um es in KI und F&E zu reinvestieren – eine Zahl, die aus Insights eigenen Kundenprojekten stammt und nicht aus einem unabhängig geprüften Branchendurchschnitt.

Vermeidung der Souveränitätssteuer mit FinOps

Die Kampagnenseite von Insight zur digitalen Souveränität schreibt die zugrunde liegende Behauptung Gartner zu: Da 56 % der Organisationen vor der Verlagerung von Workloads keine TCO-Bewertung durchführen, zahlen die meisten unwissentlich einen Preisaufschlag von 15-30 % für "konforme" Infrastruktur. Die FinOps und Hybrid Cloud Assessments von Insight identifizieren Einsparungen in genau diesem Bereich von 15-30 % als internen Benchmark aus Kundenprojekten. Es lohnt sich, dies anhand Ihres eigenen Workload-Profils zu validieren, anstatt es als garantiertes Ergebnis zu betrachten.

Die FinOps-Dienste von Insight holen Organisationen dort ab, wo sie sich auf dieser Reise befinden: Identifizierung von Verschwendung und ungenutzten Ressourcen, Ausrichtung von Teams, Kostenoptimierung und Verschärfung der Governance – mit dem Ziel einer besseren Governance, niedrigerer Kosten und einer engeren Zusammenarbeit zwischen Finanzen und Technik.

Entdecken Sie die FinOps-Services von Insight, um zu sehen, wo Ihre Organisation möglicherweise im Stillen Compliance-Ineffizienzen subventioniert.

NIS2-Bereitschaft: Vom Gap-Assessment zum Vertrauen auf Vorstandsebene

Der Ansatz von Insight zur NIS2-Compliance baut auf bestehenden Prozessen auf und berücksichtigt sich überschneidende EU-Richtlinien, anstatt NIS2 als isolierte Übung zu betrachten. Dabei werden Risikomanagement und die Meldung von Vorfällen von Anfang an priorisiert. Insight bietet einen NIS2 Awareness Workshop zur Vorbereitung von Führungsteams sowie einen NIS2 Assessment Service an, um Lücken zu identifizieren und eine maßgeschneiderte Compliance-Roadmap zu erstellen.

Was das für die Cloud-Strategie bedeutet

NIS2, DORA, das KI-Gesetz der EU und die breitere europäische Agenda zur Datensouveränität sind keine zukünftigen Bedenken, um die man herum planen muss. Es sind akute Geschäftsrisiken, wobei Durchsetzungsmaßnahmen, finanzielle Strafen und Reputationsschäden bereits auf dem gesamten Kontinent zu beobachten sind.

Die Organisationen, die für die nächsten Jahre am besten positioniert sind, sind diejenigen, die operationelle Resilienz, Agilität und Kosteneffizienz als einen einzigen strategischen Rahmen behandeln und nicht als drei konkurrierende Prioritäten: Sie entwerfen von Anfang an für Souveränität und bewahren sich gleichzeitig genug Flexibilität, um sich anzupassen, da sich die regulatorische Landschaft weiter verändern wird – denn sie wird sich weiter verändern.

Organisationen, die von Anfang an auf Souveränität bauen, überstehen nicht nur den nächsten regulatorischen Schock besser. Sie gewinnen dadurch in der Regel auch mehr Aufträge. Resilienz ist nicht länger nur ein defensiver Posten; sie ist ein kommerzielles Argument.